使用Active Directory的内部或外部域名的优点和缺点

在过去的十年里，我已经构build并支持了数十个Active Directory林，其中包括构build10个用户的SBS服务器，接pipe对拥有50多个DC的6,000个用户林的pipe理，并重新devise整个事务。 如果你的计划正确，我可以说我没有理由不把你的.com互联网域名用于AD森林名称。 由于Bonjour与较旧的Mac OS X版本不兼容，微软停止推荐使用.local域名，原因在于引用。 从Win2000开始，将主域名作为子域的“无成员”根域的想法也由于现在更好的工具和pipe理而出现在窗口之外。

互联网和AD领​​域的“裂脑”DNS的理由是一样的：

1. 最好的理由是：networking应用程序的内部URL和外部URL相同（build议通过GPO将您的内部域名添加到IE Intranet安全区域）
2. 选项很容易使login的和电子邮件地址相同（NT4的login方式是域\用户，但在现代Windows也需要[email protected]）
3. OCS / Lync SIP地址与电子邮件和login相同
4. 您可以使用您的公共证书，而不是您的私人CA

劣势：

1. 拆分隧道VPN当您的networking之外的客户端计算机需要决定使用website.domain.com的公共IP还是内部的IP时，复杂性就会起作用。 通常，公司（为了便宜并节省带宽）为分离隧道设置客户端Windows VPN设置，告诉Windows仅将stream量发送到内部名称/ IP的内部网。 当DNS可以parsingnetworking内外的相同名称时，应该select使用哪个名称？ Windows将为您提供用于客户端的DNSlogging（私有或公共）的混合结果。 我的build议是：不要在客户端VPN中分割隧道。

DNSpipe理是您将遇到的主要麻烦。

• 域名parsing：

域中的系统希望能够在请求域的FQDN时为域控制器parsing。 如果您的用户想要通过将company.com放入他们的浏览器来访问网站，那么这是一个问题; 该DNS条目必须指向域控制器（并且用户将需要为该网站inputwww.company.com ）。

• 双区pipe理：

同样，您的Active Directory服务器将被设置为对company.com区域具有权威性。 所以，你将有效地pipe理该区域的两个副本。 活动目录中的一个，以及互联网用户将看到的一个。 所有内部用户需要访问的条目都需要在两个地方创build和更新。

您引用证书的优点可能会带来一些DNS欺骗，而不一定需要永远承诺重叠。 另一方面，从可用性的angular度来看，用户的电子邮件地址与用户主体名称相匹配是有帮助的。

因为参与了一个漫长的（也是非常昂贵的）广告迁移项目，我已经成为了一个关于你的公司名称是“通用”的内部广告的粉丝。 如果您所处的业务可能会被收购或与其他业务合并，您可能会发现，由于业务决策，您不一定需要更改广告域名。

例如，如果您在鞋业，您可以购买像corpshoe.net这样的域名，并仅将其用于活动目录。 您的企业网站和电子邮件可以保持与您的常规域名相同，如果您的公司更改，您的广告不必。

我也相信你应该在外部世界拥有你的广告名称。 它只是让一切都变得简单。